ГОСТ Р ИСО/МЭК 20000 — российский стандарт управления IT-услугами и информационными технологиями

Серия ГОСТ Р ИСО/МЭК 20000 многочастевая, и сертифицируют только по первой части. Действующее обозначение — ГОСТ Р ИСО/МЭК 20000-1-2021 «Информационные технологии. Менеджмент сервисов. Часть 1. Требования к системе менеджмента сервисов». Ссылка в тендере просто на «ГОСТ Р ИСО/МЭК 20000» без номера части неточна: остальные части серии — руководства, объектом сертификации они не являются.

Какая часть и какая редакция действует

ГОСТ Р ИСО/МЭК 20000-1-2021 утверждён приказом Росстандарта от 07.12.2021 № 1718-ст, введён в действие с 30 апреля 2022 года, заменил ГОСТ Р ИСО/МЭК 20000-1-2013 и идентичен международному ISO/IEC 20000-1:2018.

Если в документации встречается обозначение «20000-1-2013», это предыдущая редакция: ссылку нужно обновить. Обозначения без номера части (просто «ГОСТ Р ИСО/МЭК 20000») в реестре национальных стандартов нет — есть части.

Документ	Что содержит	Сертификация
ГОСТ Р ИСО/МЭК 20000-1-2021	Требования к системе менеджмента сервисов (СМС)	Проводится
ГОСТ Р ИСО/МЭК 20000-2-2010	Кодекс практической деятельности — руководство по применению	Не проводится

Отдельно стоит развести стандарт и ITIL. ITIL — библиотека практик, а не нормативный документ: по ней сертифицируют специалистов, но не систему менеджмента организации. ГОСТ Р ИСО/МЭК 20000-1 задаёт проверяемые требования, и именно по нему проходит аудит компании.

Какой документ подтверждает систему менеджмента сервисов

Результат — сертификат соответствия СМС на заявленную область: перечень услуг, площадки, подразделения. Объект оценки — управление услугами, а не программный продукт, поэтому знак соответствия на ПО по такому сертификату не наносится.

Сертификат выдаёт либо орган в национальной системе аккредитации (проверяется в реестре pub.fsa.gov.ru/ral), либо орган в системе добровольной сертификации, зарегистрированной Росстандартом. Мы работаем в СДС «Эконорма» и «Промтехсертификация». Силу документу даёт запись в реестре выдавшего органа, а не бланк.

Процедура добровольная: обязательное подтверждение соответствия вводят только технические регламенты (ст. 21 Федерального закона № 184-ФЗ). Обязательным сертификат становится, когда его требует заказчик в закупке. Срок действия — три года, это требование ГОСТ Р ИСО/МЭК 17021-1-2017.

Что смотрит аудитор по разделам стандарта

Испытаний в этой процедуре нет — оценивают документы, процессы и записи. Аудит проходит в два этапа.

• Разделы 4–5. Границы СМС и каталог услуг, заинтересованные стороны, политика в области менеджмента сервисов, роли и полномочия.
• Разделы 6–7. Цели по услугам, планирование СМС, компетентность персонала, ресурсы, управление документированной информацией.
• Раздел 8. Ядро стандарта: портфель услуг и отношения с заказчиками и поставщиками, соглашения об уровне услуг, управление уровнем услуг, бюджетирование, мощностями и доступностью, непрерывность услуг, информационная безопасность, управление инцидентами, запросами, проблемами, конфигурациями, изменениями и релизами.
• Разделы 9–10. Мониторинг и отчётность по показателям, внутренние аудиты, анализ со стороны руководства, несоответствия и улучшения.

Из записей запрашивают каталог услуг, соглашения об уровне услуг и отчёты об их выполнении, журналы инцидентов и изменений, конфигурационную базу, протоколы внутренних аудитов. Частое значительное несоответствие: SLA подписаны, но фактические показатели по ним не считаются — подтвердить выполнение обязательств нечем.

Документы от заявителя

• заявка с областью сертификации: перечень услуг, площадки, численность ИТ-службы;
• устав, ИНН, ОГРН, коды по ОКВЭД, оргструктура;
• политика и цели в области менеджмента сервисов;
• каталог услуг и соглашения об уровне услуг с заказчиками;
• договоры с внешними поставщиками услуг и подрядчиками;
• регламенты по инцидентам, изменениям, конфигурациям и релизам;
• записи за отработанный период: отчёты по SLA, разбор проблем, внутренние аудиты, анализ со стороны руководства.

Сертифицируют работающую систему: нужны фактические данные службы поддержки хотя бы за один отработанный цикл.

Порядок оформления

1. Заявка и согласование области сертификации — от перечня услуг зависит трудоёмкость аудита.
2. Диагностика: какие процессы уже описаны, где не хватает записей и метрик.
3. Разработка документации СМС, настройка учёта заявок и изменений, обучение персонала.
4. Первый этап аудита — анализ документации и готовности к оценке.
5. Второй этап — аудит на месте: интервью с ИТ-службой, выборочная проверка инцидентов и изменений.
6. Устранение несоответствий, решение о выдаче, запись в реестре органа или СДС.

Дальше цикл поддержания: инспекционный контроль не реже раза в календарный год (кроме года ресертификации), на третий год — ресертификация. Срок работ зависит от числа услуг и зрелости процессов, его определяют после диагностики.

Ответственность

Статьи 14.43–14.45 КоАП РФ относятся к обязательному подтверждению соответствия продукции техрегламентам и к добровольному сертификату на систему менеджмента не применяются. Риски другие:

• Отклонение заявки в закупке — если документ не подтверждается в реестре выдавшего органа или его область не покрывает предмет закупки;
• Устаревшая ссылка — сертификат «на ГОСТ Р ИСО/МЭК 20000-1-2013» относится к отменённой редакции;
• Ссылка на часть 2 — сертификат «по ГОСТ Р ИСО/МЭК 20000-2» некорректен: это руководство, требований для аудита в нём нет;
• Приостановка сертификата — при непрохождении инспекционного контроля или неустранённых значительных несоответствиях.